火电厂工控系统网络安全风险及防护.pdf

火电厂工控系统网络安全风险及防护

摘要：以太网和TCP/IP等网络协议在工控系统中得到广泛应用，使得工控

系统在快速发展的同时，将互联网的安全威胁渗透到了工业领域，带来了诸如木

马、病毒、网络攻击等安全风险。如果在特殊时期面对黑客或有组织的入侵时，

将会带来灾难性后果。因此对火电厂工控系统网络安全进行全面防护，显得尤为

重要和迫切。

关键词：工控系统；网络安全；防护技术

中图分类号：TP393.04文献标识码：B

1网络安全的主要风险

1.1操作系统和接口软件

火电厂工控系统的工程师站、操作员站、历史站等均配置Windows操作系统，

相关接口软件也是基于Windows平台开发。在机组投产运行后，很少进行操作系

统补丁更新和漏洞修复，为针对Windows操作系统漏洞的病毒攻击埋下隐患。

1.2芯片固件和嵌入式操作系统

当前在役的国产或进口控制系统中，控制器和通信设备等关键芯片均采用进

[1]

口产品，底层芯片固件和配置的嵌入式操作系统是否存在后门和漏洞尚不掌握。

1.3应用软件

PLC系统上位机中安装的应用软件种类繁多，如Wincc、IFix、Intouch等，

很难形成统一的防护规范；此外，当应用软件面向网络应用时须开放相应端口，

这为利用应用软件的安全漏洞获取系统的控制权限提供了机会。

1.4现场智能设备

由于各种历史原因，现场智能设备厂商在通信协议方面标准不一，但在接口

[2]

配置方面都预留了以太网接口，容易造成非法接入的风险。

1.5控制系统软硬件设置

控制系统中采用的通用软、硬件和系统设备未设置成安全方式，不需要的端

口和服务未关闭，一些系统默认开启的服务可能成为入侵的后门。

2网络安全防护对策

2.1构建健壮的网络架构

1）控制系统设计时，应按照国家标准《信息安全技术网络安全等级保护基

本要求》（GB/T22239—2019），对安全等级为3.0级的控制系统在网络环境、

通信网络、区域边界、计算环境、建设管理等方面的要求进行设计。

2)不同安全区域边界的防护按照图1电力监控系统结构安全框架所示的“安

全分区、网络专用、横向隔离、纵向认证”的要求进行结构优化和防护设备部署。

在生产大区与信息管理大区之间部署单向安全隔离装置，在生产大区的控制区

[3]

（安全I区）和非控制区（安全II区）之间部署工业防火墙。在安全I区的不

同控制系统之间，若有信息交换则配置工业防火墙，单向安全隔离装置和工业防

火墙应满足相关标准的要求。

图1电力监控系统结构安全框架示意

1.

采用最小系统配置原则，关闭控制系统和就地智能设备中不必要的USB、光

驱、网络及无线接口等，规范软、硬件设置在最安全方式，避免选择默认状态。

4）优先采用自主可控的工控系统和安全防护设备，避免被“卡脖子”。

2.2采用主动防御措施

1）对上位机（操作员站、工程师站、历史站等）、操作系统和应用软件最

小化安装，减少不必要的应用；采用工控主机防护软件对其底层系统进行安全加

固和基线水平的提高；对文件、进程、注册表及服务进行有效的访问控制，实现

权限最小化管理，并对所有系统活动和用户活动进行记录审计；管控软件采用进

程白名单机制，阻止一切白名单外的应用和进程执行；全面监控主机的进程、网

络端口和USB端口状态；删除、停用默认账户和多余的、过期的账户，避免共享

账户的存在。

2）在设备出厂及控制系统改造升级时，进行漏洞扫描和挖掘、风险评估和

[4]

安全性测试。发现潜在的安全漏洞、隐患和风险，并及时进行整改。

3）根据系统风险评估状况、工控系统结构和通信协议特点选择性部署入侵

检测、安全审计和态势感知等安全防护设备和系统。以旁路方式接入，通过